centos7下的firewalld配置問(wèn)題【已解決】

eric7zhang

我的虛擬服務(wù)器有兩塊網(wǎng)卡，enp0s3和enp0s8。我的需求是把enp0s3放在work域里面，把enp0s8放在public域里面。

1，首先我已經(jīng)把work域作為default，所以當(dāng)前需要的操作步驟就是刪除work域里面的enp0s8
[root@zabbix ~]# firewall-cmd --zone=work --list-all
work (default, active)
  interfaces: enp0s3 enp0s8
  sources:
  services: dhcpv6-client ipp-client ssh
  ports: 10050/tcp 80/tcp 10051/tcp
  masquerade: no
  forward-ports:
  icmp-blocks:
  rich rules:

2，從返回結(jié)果看是成功的，但實(shí)際是沒(méi)有成功
[root@zabbix ~]# firewall-cmd --permanent --zone=work --remove-interface=enp0s8
success

[root@zabbix ~]# firewall-cmd --zone=work --list-all
work (default, active)
  interfaces: enp0s3 enp0s8
  sources:
  services: dhcpv6-client ipp-client ssh
  ports: 10050/tcp 80/tcp 10051/tcp
  masquerade: no
  forward-ports:
  icmp-blocks:
  rich rules:

3，只好放棄--permanent參數(shù)再次執(zhí)行，執(zhí)行成功。
[root@zabbix ~]# firewall-cmd --zone=work --remove-interface=enp0s8
success
[root@zabbix ~]# firewall-cmd --zone=work --list-all
work (default, active)
  interfaces: enp0s3
  sources:
  services: dhcpv6-client ipp-client ssh
  ports: 10050/tcp 80/tcp 10051/tcp
  masquerade: no
  forward-ports:
  icmp-blocks:
  rich rules:

4，firewall-cmd --reload后reboot服務(wù)器，發(fā)現(xiàn)配置依舊沒(méi)能改變，我不知道為什么--permanent參數(shù)會(huì)不起作用，還請(qǐng)各位大俠指點(diǎn)，謝謝。

junfer

man firewall-cmd

The permanent option --permanent can be used to set options permanently. These changes are not effective immediately, only after service restart/reload or system reboot.

eric7zhang

man這塊的內(nèi)容我看過(guò)了，但是我的需求應(yīng)該不難，感覺(jué)有辦法可以做到�，F(xiàn)在就是不知道該怎么實(shí)現(xiàn)

eric7zhang

[root@localhost ~]# firewall-cmd --get-active-zones
work
  interfaces: enp0s8
public
  interfaces: enp0s3


其實(shí)我就是想讓它保持這個(gè)樣子，但是reboot后就恢復(fù)默認(rèn)情況了，之前配置的都沒(méi)有了，permanent這個(gè)參數(shù)總失效

eric7zhang

最終還是找到了解決的方法，其實(shí)# firewall-cmd --permanent --zone=work --remove-interface=enp0s8這行是已經(jīng)生效了，
#firewall-cmd --zone=work --list-all 查看的時(shí)候要加上一個(gè)--permanent參數(shù)就可以了。

[root@zabbix ~]# firewall-cmd --zone=work --list-all
work
  interfaces:
  sources:
  services: dhcpv6-client ipp-client ssh
  ports: 10050/tcp 80/tcp 10051/tcp
  masquerade: no
  forward-ports:
  icmp-blocks:
  rich rules:

[root@zabbix ~]# firewall-cmd --zone=work --list-all --permanent
work (active)
  interfaces: enp0s3
  sources:
  services: dhcpv6-client ipp-client ssh
  ports: 10050/tcp 80/tcp 10051/tcp
  masquerade: no
  forward-ports:
  icmp-blocks:
  rich rules:

eric7zhang

還是想補(bǔ)充一下，其實(shí)想把某一塊網(wǎng)卡固定在某一個(gè)zone里面，還可以在網(wǎng)卡的配置文件ifcfg-ethX里面加一行ZONE=public這樣的參數(shù)，重啟network服務(wù)后，會(huì)立即生效。這個(gè)配置和firewall-cmd --zone=public --change-interface=ethX 是一樣的。

那么這里還有一個(gè)問(wèn)題，如果你的default zone是public，而你偏偏對(duì)ifcfg-ethX里面添加了ZONE=home，這個(gè)時(shí)候你在firewall-cmd里面會(huì)看不到ethX加入任何zone的信息。